[原创文章] 拿XP网站程序

程序

出处：B.H.S.T
作者：by:khjl1
  A" s6 t( D( ^) J; P
群里有位兄弟发了个站; ?- x! r' K0 e5 s0 B7 W: L
说那站程序不错~想要个源码
http://www.sucsjz.cn/xp/, }" Z1 K+ M9 S( R- ]
打开站点看下
3 a9 A! L; @5 ^( k! n% N: @" z
% \: \9 R! x* N* P" ]% G1 M
确实蛮不错的~
随便看了下  没发现有什么可以利用的: h1 g/ T' {: p4 A6 @9 j) E6 e8 y
打开G.cn site:www.sucsjz.cn1 R  F2 f8 r) z
找到了这个http://www.sucsjz.cn/qzone/

嘿嘿加了下admin 不存在
admin_login.asp
admin admin
进后台了
粗略看了下  没上传2 g8 `# z2 e) m3 k0 w
有数据库压缩。& j$ O# T$ B- ^, G: l+ n* }
看到数据库地址~
访问之.% _7 w- G) l  H1 N& |- \/ \
$ F2 d! I2 G. }& p
%>没闭合  汗...
于是找了下源码' u' w/ S, i1 m, j  h" ^7 Q
搜索数据库名就找到了
本地搭建了下访问数据库- u7 T, |8 b0 c1 S+ ~4 w
$ t. D5 z6 Q' i% ^: b& i
; y$ x# I! M3 G5 i& r5 j, R6 S
用记事本打开了数据库& n9 _8 W2 t) t6 X, [. k
搜索<%
1 n# s; I+ E+ Q' J$ o
呵呵可以在表情的地址那里插入%>来闭合他~  A: ^* ~; K0 o) G% C1 S
本地试了下3 O+ `: n9 G+ a3 R4 t& u3 J% `
再次访问数据库4 X' ^; l( w! a$ I2 W
还是出错% C. n. N: O! F/ @1 W: e
& ~$ X( i" _% J
%无效字节
搜索%1 [0 q; o1 y: j5 |, w$ h; Z
- I0 q  f- K7 K0 o2 L
看了下- T- T& }0 q" k" O2 s
发现%应该是在用户信息
所以把所有的用户信息都X了...
再次访问: |3 Z/ \) Q, T  h
一片乱码  哈哈& W) [6 \. ]4 G' z

OK了
到网站那按本地那样闭合%>以及删掉%
访问之( p) h9 z6 d- y
插入一句话4 L1 k" P5 H  O
连接
就这样拿下SHELL了- ]8 A7 C& z% j* k# v% ^& P
打包XP程序..
闪人.# p0 Q( P: v. _8 M

下到本地一看8 ^- Y" I2 b' i7 s3 u# x/ I
发现那个XP程序本身就可以容易的拿下SHELL了! P; X+ q2 a6 \! O
只是最开始没有想到...呵呵
太大了  传不上算了~

附件: 您需要登录才可以下载或查看附件。没有帐号？注册

1 评分人数